Un congélateur de supermarché réglé à +50 °C en pleine nuit, sans que personne n’entre dans le magasin. Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris le contrôle des systèmes de régulation frigorifique équipant des centaines de supermarchés français, et le détournement de la fonction de dégivrage a détruit pour plusieurs millions d’euros de produits frais et surgelés. La question dépasse les rayons frais : toute chaudière pilotée par application, toute serrure connectée, toute pompe médicale reliée au réseau pose les mêmes problèmes de qualification, de preuve et de responsabilité.
L’ATTAQUE DU MOIS D’OCTOBRE 2026 : LES FAITS CONNUS
Les régulateurs visés pilotent à distance les meubles froids et les chambres froides. Les consignes de température ont été modifiées à distance. Dans certains magasins, aucune alerte n’est parvenue aux équipes, le piratage ayant aussi neutralisé le système d’alarme. Un Intermarché alsacien a chiffré sa perte à 50.000 euros, un Super U voisin à 220.000 euros. La Charente-Maritime figure parmi les zones touchées : des salariés citent un U Express de l’île d’Oléron.
La vulnérabilité exploitée avait été documentée par l’agence américaine CISA dès le mois de mai 2025, sans correction sur le terrain. Le parquet de Paris a ouvert une enquête et l’ANSSI coordonne les investigations techniques.
DU FRIGO À LA POMPE À INSULINE : UN MÊME TEXTE POUR TOUS LES OBJETS CONNECTÉS
Le Code pénal ne connaît pas l’« objet connecté ». Il connaît le système de traitement automatisé de données, notion qu’il ne définit pas et que les juridictions apprécient de manière fonctionnelle : un dispositif qui reçoit des données, les conserve et agit en fonction d’elles. Un régulateur frigorifique, un thermostat, une caméra de surveillance, un calculateur de véhicule ou un capteur industriel remplissent ces critères.
Le même socle répressif s’applique donc à des situations très différentes. Le piratage d’une caméra domestique pour observer l’intérieur d’un logement relève aussi de l’article 226-1 du Code pénal, qui réprime la captation de l’image d’une personne dans un lieu privé et, depuis 2024, celle de sa localisation sans consentement ; la peine passe à deux ans d’emprisonnement et 60.000 euros d’amende lorsque l’auteur est le conjoint ou le partenaire de la victime. Ce contentieux, celui des traceurs et des comptes domotiques partagés au sein du couple, représente en pratique une part importante des dossiers d’objets connectés.
L’objet piraté sert parfois de simple relais. Des milliers de caméras ou de box infectées peuvent former un réseau d’appareils zombies utilisé pour saturer un site tiers. Leur propriétaire n’encourt rien : l’article 121-3 du Code pénal pose qu’il n’y a point de délit sans intention de le commettre, et le délit d’entrave au fonctionnement d’un système n’existe pas sous forme non intentionnelle.
LES TROIS INCRIMINATIONS DE BASE
L’article 323-1 du Code pénal réprime l’accès et le maintien frauduleux dans un système. La peine de base est de trois ans d’emprisonnement et 100.000 euros d’amende ; elle passe à cinq ans et 150.000 euros lorsqu’il en résulte une modification de données ou une altération du fonctionnement. L’article 323-2 du Code pénal sanctionne le fait de fausser le fonctionnement du système. L’article 323-3 du Code pénal vise la modification frauduleuse des données qu’il contient. Une consigne de température passée de -20 °C à +50 °C est une donnée modifiée, et un meuble froid qui chauffe est un système dont le fonctionnement a été faussé.
Lorsque les faits sont commis en bande organisée, l’article 323-4-1 du Code pénal porte la peine à dix ans d’emprisonnement et 300.000 euros d’amende. Une attaque simultanée sur des centaines de sites, déclenchée au cœur de la nuit, oriente vers cette circonstance. Encore faut-il la démontrer.
« LE SYSTÈME ÉTAIT OUVERT » : UN ARGUMENT DE DÉFENSE QUI A SES LIMITES
Une partie des interfaces visées restait accessible depuis Internet. La défense d’un auteur poursuivi soutiendra naturellement qu’entrer dans un système laissé ouvert n’a rien de frauduleux. La Chambre Criminelle de la Cour de cassation a déjà répondu. Dans un arrêt du 20 mai 2015, elle a jugé que commet le délit de maintien frauduleux celui qui, entré dans un système à la faveur d’une défaillance technique, y demeure après avoir constaté l’existence d’un contrôle d’accès. Le prévenu affirmait avoir trouvé les documents par une simple recherche sur un moteur grand public ; l’argument n’a pas prospéré.
La portée de cette jurisprudence est double. Si l’interface affichait une page d’identification, même contournable, l’auteur ne pouvait ignorer qu’il n’était pas autorisé. Surtout, les articles 323-2 et 323-3 du Code pénal ne supposent pas un accès frauduleux : modifier sciemment les consignes d’un appareil qui ne vous appartient pas suffit. La faiblesse de la sécurité du système joue sur le terrain de la responsabilité civile du fabricant et de l’exploitant, pas sur la culpabilité de celui qui a pris la main.
L’accès légitime ne protège pas davantage celui qui en abuse. Par un arrêt du 2 septembre 2025, la Chambre Criminelle de la Cour de cassation a retenu le maintien frauduleux contre un administrateur réseau qui, disposant d’un droit général d’accès, l’avait utilisé à des fins étrangères à sa mission. Transposée aux objets connectés, la solution concerne directement les prestataires de maintenance et les techniciens qui détiennent des accès à distance permanents.
LES COMPLICES ET L’ÉCOSYSTÈME DE L’ATTAQUE
Une attaque de cette ampleur suppose des outils, des accès revendus, des forums de coordination. L’article 323-3-1 du Code pénal punit celui qui détient, cède ou met à disposition un programme conçu pour commettre ces atteintes, des peines prévues pour l’infraction elle-même. L’article 323-4 du Code pénal réprime la participation à une entente préparatoire.
La Chambre Criminelle de la Cour de cassation a donné à ce dernier texte une portée large. Dans un arrêt du 7 novembre 2017, elle a jugé que le fait de mettre sciemment à disposition des internautes une passerelle de discussion permettant de connaître les modalités d’opérations d’un collectif dirigées contre un opérateur d’importance vitale caractérise la participation à une entente en vue d’entraver le fonctionnement de systèmes. L’hébergeur d’un canal de coordination, sans avoir lui-même attaqué, a été condamné.
DESTRUCTION DES STOCKS ET CUMUL DE QUALIFICATIONS
Les produits jetés appartenaient aux magasins. La destruction d’un bien appartenant à autrui est punie de deux ans d’emprisonnement et 30.000 euros d’amende par l’article 322-1 du Code pénal, sans qu’aucun contact physique avec le bien ne soit requis.
Peut-on retenir à la fois les atteintes informatiques et la destruction ? Depuis l’arrêt rendu par l’Assemblée Plénière de la Cour de cassation le 15 décembre 2021, la Haute juridiction admet le cumul des déclarations de culpabilité pour un même fait, sauf dans deux hypothèses : lorsque l’une des qualifications constitue un élément constitutif ou une circonstance aggravante de l’autre, et lorsque l’une incrimine une modalité particulière de l’action réprimée par l’autre.
Appliquée à l’attaque du mois d’octobre 2026, cette grille donne un résultat contrasté. La modification de données est la circonstance aggravante prévue par le deuxième alinéa de l’article 323-1 du Code pénal ; l’accès aggravé et le délit de l’article 323-3 du Code pénal devraient donc se concurrencer plutôt que se cumuler. La destruction de marchandises repose en revanche sur des éléments distincts et protège un intérêt différent, la propriété des stocks. Son cumul avec les atteintes informatiques paraît possible.
QUAND L’ATTAQUE MENACE DES VIES
L’article 323-4-2 du Code pénal porte la peine à dix ans d’emprisonnement lorsque l’attaque expose autrui à un risque immédiat de mort ou de blessures graves, ou fait obstacle aux secours. Le texte vise d’abord les objets dont la défaillance menace directement le corps : dispositif médical, véhicule, chaudière, détecteur de fumée, système d’alarme.
Son application aux supermarchés reste fragile. Les produits ont été détruits avant toute vente, et une denrée altérée vendue puis consommée quelques jours plus tard ne crée pas un risque « immédiat » au sens du texte. Un pirate qui couperait à distance le chauffage d’un établissement accueillant des personnes âgées en plein hiver se placerait, lui, au cœur de l’incrimination.
SABOTAGE, TERRORISME : LE HAUT DU SPECTRE
Toute cyberattaque n’est pas une affaire de délinquance ordinaire. L’article 411-9 du Code pénal réprime le sabotage, défini notamment comme le fait de détériorer ou de détourner un équipement ou un système de traitement automatisé lorsque ce fait est de nature à porter atteinte aux intérêts fondamentaux de la nation : quinze ans de détention criminelle, vingt ans s’il est commis pour servir une puissance étrangère. Or l’article 410-1 du Code pénal range parmi ces intérêts la sauvegarde de la population et les éléments essentiels du potentiel économique, « notamment agricole ». Une attaque coordonnée contre la chaîne du froid alimentaire entre dans ce champ si elle émane d’un acteur étatique.
L’article 421-1 du Code pénal inclut enfin les infractions informatiques parmi les actes de terrorisme lorsqu’elles sont intentionnellement en relation avec une entreprise ayant pour but de troubler gravement l’ordre public par l’intimidation ou la terreur. La qualification change alors tout : compétence du parquet national antiterroriste, régime de garde à vue, peines aggravées. Si une rançon était exigée pour rétablir les installations, l’extorsion de l’article 312-1 du Code pénal, punie de sept ans d’emprisonnement, viendrait s’ajouter.
FABRICANTS, INSTALLATEURS, EXPLOITANTS : QUI RÉPOND DE LA FAILLE ?
Aucune infraction pénale générale ne sanctionne le défaut de mise à jour d’un équipement qui ne traite pas de données personnelles. Le fabricant ou l’installateur, personnes morales responsables dans les conditions de l’article 121-2 du Code pénal, ne pourraient voir leur responsabilité pénale engagée qu’en cas d’atteinte à l’intégrité physique d’une personne. L’article 121-3 du Code pénal exige alors, pour l’auteur indirect, une violation manifestement délibérée d’une obligation de sécurité ou une faute caractérisée exposant autrui à un risque d’une particulière gravité. Laisser sans correctif, pendant dix-sept mois, une faille publiquement documentée sur des équipements de sécurité alimentaire nourrira ce débat si un dommage corporel survient un jour.
Le droit européen a resserré l’étau sur un autre terrain. Les obligations de notification de l’article 14 du Cyber Resilience Act s’appliquent depuis le 11 septembre 2026, y compris aux produits mis sur le marché avant cette date. Le fabricant doit signaler les vulnérabilités activement exploitées et les incidents graves, avec une alerte précoce sous 24 heures. Ces manquements relèvent de sanctions administratives. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux ouvre en parallèle la voie civile : le Cyber Resilience Act relève lui-même que l’absence de mise à jour de sécurité peut caractériser le défaut du produit.
La transposition de la directive NIS 2 demeure en suspens. Le 6 octobre 2026, la conférence des présidents de l’Assemblée nationale a retiré de l’ordre du jour le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
L’EXPLOITANT VICTIME, POTENTIEL MIS EN CAUSE
Le commerçant qui remettrait en rayon des produits exposés à +50 °C s’exposerait à des poursuites pour tromperie sur les qualités substantielles de la marchandise ou sur les contrôles effectués, en application de l’article L. 441-1 du Code de la consommation. L’article L.454-1 du Code de la consommation punit ce délit de trois ans d’emprisonnement et 300.000 euros d’amende. L’infraction est intentionnelle : elle suppose que le vendeur ait connu l’altération. Les relevés horodatés de température et la décision documentée de détruire les stocks constituent la meilleure protection de l’exploitant.
72 HEURES POUR PORTER PLAINTE
L’article L. 12-10-1 du Code des assurances subordonne l’indemnisation des pertes causées par une atteinte à un système de traitement automatisé au dépôt d’une plainte au plus tard soixante-douze heures après la connaissance de l’atteinte. Le texte s’applique aux personnes morales et aux professionnels. Pour un magasin qui a découvert ses meubles en chauffe à l’ouverture le 12 octobre, le délai expirera le 15 octobre au matin.
Beaucoup de supermarchés sont exploités par des sociétés indépendantes adhérentes d’un groupement. Chacune est une victime distincte et doit déposer sa propre plainte : celle de l’enseigne ne couvre pas le magasin. Relevés de température, photographies horodatées, inventaire des produits détruits, journaux de connexion du prestataire de télésurveillance : ces pièces serviront devant l’assureur, puis au soutien de la constitution de partie civile.
Maître Grégory DORANGES, avocat au Barreau de La Rochelle-Rochefort, spécialiste en droit pénal certifié par le CNB.